ARMUTLU TATİL VE TURİZM İŞLETMELERİ A.Ş. KİŞİSEL VERİLERİN KORUNMASI VE İŞLENMESİ POLİTİKASI

Transkript

1 ARMUTLU TATİL VE TURİZM İŞLETMELERİ A.Ş. KİŞİSEL VERİLERİN KORUNMASI VE İŞLENMESİ POLİTİKASI Versiyon /01/2018

2 İÇİNDEKİLER 1. BÖLÜM : GİRİŞ HEDEF AMAÇ KAPSAM VE ARMUTLU TATİL ve TURİZM İŞLETMELERİ KİŞİSEL VERİLERİN 5 KORUNMASI VE İŞLENMESİ POLİTİKASI İLE YÖNETİLEN KİŞİ GRUPLARI 1.4. ARMUTLU TATİL ve TURİZM İŞLETMELERİ KİŞİSEL VERİLERİN KORUNMASI VE 6 İŞLENMESİ POLİTİKASI NIN DİG ER POLİTİKALARLA OLAN İLİŞKİSİ 1.5. POLİTİKA NIN ve İLGİLİ MEVZUATIN UYGULANMASI POLİTİKA NIN YÜRÜRLÜG Ü ve DEG İŞİMİ 6 2. BÖLÜM : TANIMLAR ve KISALTMALAR TANIMLAR KISALTMALAR BÖLÜM : KİŞİSEL VERİLERİN İŞLENMESİ KİŞİSEL VERİLERİN MEVZUATTA ÖNGÖRÜLEN İLKELERE UYGUN OLARAK 11 İŞLENMESİ Hukuka ve Dürüstlük Kuralına Uygun İşleme Kişisel Verilerin Doğru ve Gerektiğinde Güncel Olmasını Sağlama Belirli, Açık ve Meşru Amaçlarla İşleme İşlendikleri Amaçla Bağlantılı, Sınırlı ve Ölçülü Olma İlgili Mevzuatta Öngörülen veya İşlendikleri Amaç için Gerekli Olan Süre Kadar 12 Muhafaza Etme 3.2. KİŞİSEL VERİLERİ, KVK KANUNU NUN 5. MADDESİNDE BELİRTİLEN KİŞİSEL 12 VERİ İŞLEME ŞARTLARINDAN BİR VEYA BİRKAÇINA DAYALI VE BU ŞARTLARLA SINIRLI OLARAK İŞLEME 3.3. İHLAS GRUP ŞİRKETLERİ TARAFINDAN İŞLENMEKTE OLAN VERİLERİN 13 ARMUTLU TATİL ve TURİZM İŞLETMELERİ TARAFINDAN İŞLENMESİ 3.4. KİŞİSEL VERİ SAHİBİNİN AYDINLATILMASI VE BİLGİLENDİRİLMESİ ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN İŞLENMESİ 3.6. KİŞİSEL VERİLERİN KANUNDAKİ İŞLEME ŞARTLARINA DAYALI VE BU 14 ŞARTLARLA SINIRLI OLARAK İŞLENMESİ Kişisel Verilerin İşlenmesi Özel Nitelikli Kişisel Verilerin İşlenmesi BÖLÜM : BİNA, TESİS GİRİŞLERİ İLE BİNA TESİS İÇERİSİNDE YAPILAN KİŞİSEL VERİ İŞLEME FAALİYETLERİ İLE İNTERNET SİTESİ ZİYARETÇİLERİ ARMUTLU TATİL ve TURİZM İŞLETMELERİ BİNA, TESİS GİRİŞLERİNDE VE 17 İÇERİSİNDE YÜRÜTÜLEN KAMERA İLE İZLEME FAALİYETİ Kamera ile İzleme Faaliyetinin Yasal Dayanağı KVK Hukukuna Göre Güvenlik Kamerası ile İzleme Faaliyeti Yürütülmesi Kamera ile İzleme Faaliyetinin Duyurulması Kamera ile İzleme Faaliyetinin Yürütülme Amacı ve Amaçla Sınırlılık 18 1

3 Elde Edilen Verilerin Güvenliğinin Sağlanması Kamera ile İzleme Faaliyeti ile Elde Edilen Kişisel Verilerin Muhafaza Süresi İzleme Sonucunda Elde Edilen Bilgilere Kimlerin Erişebildiği ve Bu Bilgilerin 18 Kimlere Aktarıldığı 4.2. ARMUTLU TATİL ve TURİZM İŞLETMELERİ BİNA, TESİS GİRİŞLERİNDE VE 19 İÇERİSİNDE YÜRÜTÜLEN MİSAFİR GİRİŞ ÇIKIŞLARININ TAKİBİ 4.3. ARMUTLU TATİL ve TURİZM İŞLETMELERİ BİNA VE TESİSLERİNDE 19 ZİYARETÇİ LERİMİZE SAG LANAN İNTERNET ERİŞİMLERİNE İLİŞKİN KAYITLARIN SAKLANMASI 4.4. İNTERNET SİTESİ ZİYARETÇİLERİ BÖLÜM : İŞLENEN KİŞİSEL VERİLERİN İŞLENME AMAÇLARI, KATEGORİZASYONU VE SAKLANMA SÜRELERİ KİŞİSEL VERİLERİN İŞLENME AMAÇLARI KİŞİSEL VERİLERİN KATEGORİZASYONU İşlenen Kişisel Verilerin Sahiplerine İlişkin Kategorizasyon KİŞİSEL VERİLERİN SAKLANMA SÜRELERİ BÖLÜM : KİŞİSEL VERİLERİN AKTARILMASI KİŞİSEL VERİLERİN AKTARILMASI Kişisel Verilerin Aktarılması Özel Nitelikli Kişisel Verilerin Aktarılması KİŞİSEL VERİLERİN YURTDIŞINA AKTARILMASI Kişisel Verilerin Yurtdışına Aktarılması Özel Nitelikli Kişisel Verilerin Yurtdışına Aktarılması KİŞİSEL VERİLERİN AKTARILDIG I ÜÇÜNCÜ KİŞİLER VE AKTARILMA AMAÇLARI BÖLÜM : KİŞİSEL VERİLERİN KORUNMASI KİŞİSEL VERİLERİN GÜVENLİG İNİN SAG LANMASI Kişisel Verilerin Hukuka Uygun İşlenmesini Sağlamak için Alınan Teknik ve 32 İdari Tedbirler Kişisel Verilerin Hukuka Aykırı Erişimini Engellemek için Alınan Teknik ve İdari 33 Tedbirler Kişisel Verilerin Güvenli Ortamlarda Saklanması Kişisel Verilerin Korunması Konusunda Alınan Tedbirlerin Denetimi Kişisel Verilerin Yetkisiz Bir Şekilde İfşası Durumunda Alınacak Tedbirler VERİ SAHİBİNİN HAKLARININ GÖZETİLMESİ; BU HAKLARI ŞİRKETİMİZE 35 İLETECEG İ KANALLARIN OLUŞTURULMASI VE VERİ SAHİPLERİNİN TALEPLERİNİN DEG ERLENDİRMESİ 7.3. ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN KORUNMASI İŞ BİRİMLERİNİN KİŞİSEL VERİLERİN KORUNMASI VE İŞLENMESİ 36 KONUSUNDA FARKINDALIKLARININ ARTTIRILMASI VE DENETİMİ 7.5. İŞ ORTAKLARI VE TEDARİKÇİLER İN KİŞİSEL VERİLERİN KORUNMASI VE İŞLENMESİ KONUSUNDAKİ FARKINDALIKLARININ ARTTIRILMASI VE DENETİMİ 36 2

4 8. BÖLÜM : KİŞİSEL VERİLERİN SİLİNMESİ, YOK EDİLMESİ VE ANONİMLEŞTİRİLMESİ 8.1. ARMUTLU TATİL ve TURİZM İŞLETMELERİ NİN KİŞİSEL VERİLERİ SİLME, YOK 38 ETME VE ANONİMLEŞTİRME YÜKÜMLÜLÜG Ü 8.2. KİŞİSEL VERİLERİN SİLİNMESİ, YOK EDİLMESİ VE ANONİMLEŞTİRİLMESİ 38 TEKNİKLERİ Kişisel Verilerin Silinmesi ve Yok Edilmesi Teknikleri Kişisel Verileri Anonim Hale Getirme Teknikleri BÖLÜM : KİŞİSEL VERİ SAHİPLERİNİN HAKLARI; BU HAKLARIN KULLANILMASI VE DEG ERLENDİRİLMESİ METODOLOJİSİ VERİ SAHİBİNİN HAKLARI VE BU HAKLARINI KULLANMASI Kişisel Veri Sahibinin Hakları Kişisel Veri Sahibinin Haklarını İleri Süremeyeceği Haller Kişisel Veri Sahibinin Haklarını Kullanması Kişisel Veri Sahibinin KVK Kurulu na Şikâyette Bulunma Hakkı ARMUTLU TATİL ve TURİZM İŞLETMELERİ NİN BAŞVURULARA CEVAP 42 VERMESİ Armutlu Tatil ve Turizm İşletmeleri nin Başvurulara Cevap Verme Usulü ve 42 Süresi Armutlu Tatil ve Turizm İşletmeleri nin Başvuruda Bulunan Kişisel Veri 42 Sahibinden Talep Edebileceği Bilgiler Armutlu Tatil ve Turizm İşletmeleri nin Kişisel Veri Sahibinin Başvurusunu Reddetme Hakkı BÖLÜM : ARMUTLU TATİL ve TURİZM İŞLETMELERİ KİŞİSEL VERİLERİN KORUNMASI VE İŞLENMESİ POLİTİKASI YÖNETİM YAPISI

5 1. BÖLÜM : GİRİŞ Türkiye Cumhuriyeti Anayasası na göre, herkes, kendisiyle ilgili kişisel verilerin korunmasını isteme hakkına sahiptir. Bir Anayasal hak olan kişisel verilerin korunması, Armutlu Tatil ve Turizm İşletmeleri Anonim Şirketi( Armutlu Tatil ve Turizm İşletmeleri A.Ş. veya Şirket ) için büyük önem arz etmekte olup Şirketimizin öncelikleri arasındadır. Bu konunun en önemli ayağını ise işbu Politika ile yönetilen; Çalışan Adayları mızın, Şirket Hissedarları nın, Şirket Yetkilileri nin, Ziyaretçi lerimizin, İşbirliği İçinde Olduğumuz Kurumların Çalışanları nın, Hissedarları nın ve Yetkilileri nin ve Üçüncü Kişi lerin kişisel verilerinin korunması oluşturmaktadır. Çalışanlarımızın kişisel verilerinin korunmasına ilişkin Armutlu Tatil ve Turizm İşletmeleri in yürüttüğü faaliyetler ise, bu Politika daki esaslarla paralel olarak kaleme alınan Armutlu Tatil ve Turizm İşletmeleri A.Ş. Çalışanları Kişisel Verilerin Korunması ve İşlenmesi Politikası altında yönetilmektedir. Armutlu Tatil ve Turizm İşletmeleri, bu Politika ile konuya muhatap tüm gerçek kişi lerin kişisel verilerinin korunmasına gerekli özeni göstermekte ve bunu bir şirket politikası haline getirmektedir. Bu kapsamda da, ilgili mevzuat gereğince işlenen kişisel verilerin korunması için Armutlu Tatil ve Turizm İşletmeleri tarafından gereken idari ve teknik tedbirler alınmaktadır. Bu Politika da kişisel verilerin işlenmesinde Armutlu Tatil ve Turizm İşletmeleri in benimsediği ve aşağıda sıralanan temel ilkelere ilişkin detaylı açıklamalarda bulunulacaktır : Kişisel verileri hukuka ve dürüstlük kurallarına uygun işleme, Kişisel verileri doğru ve gerektiğinde güncel tutma, Kişisel verileri belirli, açık ve meşru amaçlar için işleme, Kişisel verileri işlendikleri amaçla bağlantılı, sınırlı ve ölçülü işleme, Kişisel verileri ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza etme, Kişisel veri sahiplerini aydınlatma ve bilgilendirme, Kişisel veri sahiplerinin haklarını kullanması için gerekli sistemi kurma, Kişisel verilerin muhafazasında gerekli tedbirleri alma, Kişisel verilerin işleme amacının gereklilikleri doğrultusunda üçüncü kişilere aktarılmasında, ilgili mevzuata ve 6698 Nolu kanun muvacehesinde kurulan Kişisel Verilerin Korunması (KVK) Kurulu düzenlemelerine uygun davranma, Özel nitelikli kişisel verilerin işlenmesine ve korunmasına gerekli hassasiyeti gösterme. 4

6 1.1. HEDEF Armutlu Tatil ve Turizm İşletmeleri A.Ş. Kişisel Verilerin Korunması (KVK) Politikası ile, Armutlu Tatil ve Turizm İşletmeleri bünyesinde kişisel verilerin hukuka uygun olarak işlenmesi ve korunması konusunda farkındalığın oluşması hedefi doğrultusunda gerekli sistemleri oluşturmak ve mevzuata uyumu temin etmek için gereken düzenin kurulması hedeflenmektedir AMAÇ Bu Politika nın temel amacı, Armutlu Tatil ve Turizm İşletmeleri tarafından hukuka uygun bir biçimde yürütülen kişisel veri işleme faaliyeti ve kişisel verilerin korunmasına yönelik benimsenen sistemler konusunda açıklamalarda bulunmak, bu kapsamda kişisel verileri Şirketimiz tarafından işlenen kişileri bilgilendirilerek şeffaflığı sağlamaktır. Armutlu Tatil ve Turizm İşletmeleri A.Ş. Kişisel Verilerin Korunması (KVK) Politikası, kişisel verilerin işlenme şartlarını belirlemesinin yanı sıra, kişisel verilerin işlenmesinde Armutlu Tatil ve Turizm İşletmeleri tarafından benimsenen temel ilkeleri ortaya koymakta ve KVK Kanunu ve ilgili mevzuat ile ortaya konulan düzenlemelerin uygulanması bakımından da yol gösterme amacı taşımaktadır KAPSAM VE ARMUTLU TATİL ve TURİZM İŞLETMELERİ A.Ş. KİŞİSEL VERİLERİN KORUNMASI VE İŞLENMESİ POLİTİKASI İLE YÖNETİLEN KİŞİ GRUPLARI Bu Politika; Çalışan Adayları mızın, Şirket Hissedarları nın, Şirket Yetkilileri nin, Ziyaretçi lerimizin, İşbirliği İçinde Olduğumuz Kurumların Çalışanları nın, Hissedarları nın, Yetkilileri nin ve Üçüncü Kişi lerin otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen tüm kişisel verilerine ilişkindir. Yukarıda belirtilen kategorilerde yer alan kişisel veri sahipleri gruplarına ilişkin işbu Politika nın uygulama kapsamı Politika nın tamamı olabileceği gibi (örn. Ziyaretçi miz de olan Çalışan Adayları mız gibi); yalnızca bir kısım hükümleri de (örn. yalnızca Ziyaretçi lerimiz gibi) olabilecektir. Armutlu Tatil ve Turizm İşletmeleri çalışanlarının kişisel verilerinin korunması ve işlenmesine ilişkin hususlar ise Armutlu Tatil ve Turizm İşletmeleri Anonim Şirketi Çalışanları Kişisel Verilerin Korunması Ve İşlenmesi Politikası nın kapsamına girmektedir. Armutlu Tatil ve Turizm İşletmeleri A.Ş. KVK Politikası kapsamı dahilinde olan ve Armutlu Tatil 5

7 ve Turizm İşletmeleri tarafından kişisel verileri işlenen veri sahipleri aşağıda gruplandırılmaktadır: 1) Armutlu Tatil ve Turizm İşletmeleri Çalışan Adayları Armutlu Tatil ve Turizm İşletmeleri ile hizmet akdi kurulmamış ancak kurulmak üzere Armutlu Tatil ve Turizm İşletmeleri değerlendirmesine alınan kişiler. 2) Armutlu Tatil ve Turizm İşletmeleri İş Ortakları Yetkilileri, Çalışanları Armutlu Tatil ve Turizm İşletmeleri 'nin ticari ilişki içinde olduğu kuruluşların gerçek kişi yetkilileri, hissedarları, çalışanları. 3) Armutlu Tatil ve Turizm İşletmeleri Ziyaretçileri Armutlu Tatil ve Turizm İşletmeleri binalarını veya Armutlu Tatil ve Turizm İşletmeleri tarafından işletilen internet sitelerini ziyaret eden gerçek kişiler. 4) Diğer Gerçek Kişiler Armutlu Tatil ve Turizm İşletmeleri Çalışanları Kişisel Verilerin Korunması ve İşlenmesi Politikası kapsamında olmayan tüm gerçek kişiler ARMUTLU TATİL ve TURİZM İŞLETMELERİ A.Ş. KİŞİSEL VERİLERİN KORUNMASI VE İŞLENMESİ POLİTİKASI NIN DİG ER POLİTİKALARLA OLAN İLİŞKİSİ Armutlu Tatil ve Turizm İşletmeleri, bu Politika ile ortaya koymuş olduğu esasların ilişkili olduğu kişisel verilerin korunması ve işlenmesi konusunda iç kullanıma yönelik alt politikalar için de temel politikalar oluşturmaktadır. Armutlu Tatil ve Turizm İşletmeleri içi politikalarının esasları, ilgili olduğu ölçüde kamuoyuna açık politikalara yansıtılarak, ilgililerinin bu çerçevede bilgilenmesi ve Armutlu Tatil ve Turizm İşletmeleri nin yürütmekte olduğu kişisel veri işleme faaliyetleri hakkında şeffaflık ve hesap verilebilirliğin sağlanması hedeflenmiştir POLİTİKA NIN ve İLGİLİ MEVZUATIN UYGULANMASI Kişisel verilerin işlenmesi ve korunması konusunda yürürlükte bulunan ilgili kanuni düzenlemeler öncelikle uygulama alanı bulacaktır. Yürürlükte bulunan mevzuat ve Politika arasında uyumsuzluk bulunması durumunda, Armutlu Tatil ve Turizm İşletmeleri yürürlükteki mevzuatın uygulama alanı bulacağını kabul etmektedir. Politika, ilgili mevzuat tarafından ortaya konulan kuralların Armutlu Tatil ve Turizm İşletmeleri uygulamaları kapsamında somutlaştırılarak düzenlenmesinden oluşturulmuştur. Armutlu Tatil ve Turizm İşletmeleri, KVK Kanunu nda öngörülen yürürlük sürelerine uygun hareket etmek üzere gerekli sistem ve hazırlıklarını yürütmektedir POLİTİKA NIN YÜRÜRLÜG Ü ve DEG İŞİMİ 6

8 Bu Politika dokümanı, Yönetim Kurulu tarafından onaylandığı andan itibaren yürürlüğe girer. İşbu politikaya bağlı olarak düzenlenecek; bu Politikanın içerisinde belirtilen hususların belli konular özelinde ne şekilde icra edileceğini belirtecek uygulama kuralları yönetmelik şeklinde düzenlenecektir. Yönetmelikler Yönetim Kurulu onayıyla yayımlanarak yürürlüğe konulacaktır. Politika, ( adresli internet sitemizde yayımlanarak kamuoyuna da sunulmuştur. Başta 6698 sayılı Kanun olmak üzere yürürlükteki mevzuat ile bu Politika da yer verilen düzenlemelerin çelişmesi halinde mevzuat hükümleri uygulanır. İşbu Politika her halükarda yılda bir kez gözden geçirilir, gerekli değişiklikler varsa, Yönetim Kurulu onayına sunularak güncellenir. Şirketimiz, yasal düzenlemelere paralel olarak Politika da değişiklik yapma hakkını saklı tutar. Politika nın güncel versiyonuna Armutlu Tatil ve Turizm İşletmeleri web sitesinden ( erişilebilir. 7

9 2. BÖLÜM : TANIMLAR ve KISALTMALAR 2.1. TANIMLAR Açık Rıza : Anonim Hale Getirme : Başvuru Formu : Çalışan Adayı : İşbirliği İçinde Olduğumuz Kurumların Çalışanları, Hissedarları ve Yetkilileri : İş Ortağı : Kişisel Veri : Kişisel Sağlık Verisi : Özel Nitelikli Kişisel Veri : Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza. Kişisel verinin, kişisel veri niteliğini kaybedecek ve bu durumun geri alınamayacağı şekilde değiştirilmesidir. Kişisel veri sahiplerinin haklarını kullanmak için yapacakları başvuruyu içeren 6698 Sayılı Kişisel Verilerin Korunması Kanunu Gereğince İlgili Kişi (Kişisel Veri Sahibi) Tarafından Veri Sorumlusuna Yapılacak Başvurulara İlişkin Başvuru Formu. Armutlu Tatil ve Turizm İşletmeleri ne herhangi bir yolla iş başvurusunda bulunmuş ya da özgeçmiş ve ilgili bilgilerini Armutlu Tatil ve Turizm İşletmeleri nin incelemesine açmış olan gerçek kişiler. Armutlu Tatil ve Turizm İşletmeleri nin her türlü iş ilişkisi içerisinde bulunduğu kurumlarda (iş ortağı, tedarikçi gibi, ancak bunlarla sınırlı olmaksınız) çalışan, bu kurumların hissedarları ve yetkilileri dahil olmak üzere, gerçek kişiler. Armutlu Tatil ve Turizm İşletmeleri nin ticari faaliyetlerini yürütürken bizzat veya Grup Şirketleri ile birlikte muhtelif projeler yürütmek, hizmet almak gibi amaçlarla iş ortaklığı kurduğu taraflar. Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi. Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü sağlık bilgisi. Irk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık kıyafet, dernek vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkumiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik veriler. 8

10 Kişisel Veri Sahibi : Kişisel Verilerin İşlenmesi : Şirket Hissedarı : Şirket Yetkilisi : Tedarikçi : Grup Şirketleri Müşterisi : Üçüncü Kişi : Veri işleyen : Veri Sorumlusu : Veri Sorumluları Sicili : Kişisel verisi işlenen gerçek kişi. Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hâle getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem. Armutlu Tatil ve Turizm İşletmeleri nin hissedarı gerçek kişiler Armutlu Tatil ve Turizm İşletmeleri yönetim kurulu üyesi ve diğer yetkili gerçek kişiler. Armutlu Tatil ve Turizm İşletmeleri nin ticari faaliyetlerini yürütürken Armutlu Tatil ve Turizm İşletmeleri nin emir ve talimatlarına uygun olarak sözleşme temelli olarak Armutlu Tatil ve Turizm İşletmeleri ne hizmet sunan taraflar. Armutlu Tatil ve Turizm İşletmeleri ile herhangi bir sözleşmesel ilişkisi olup olmadığına bakılmaksızın Armutlu Tatil ve Turizm İşletmeleri nin iş birimlerinin yürüttüğü operasyonlar kapsamında Grup Şirketleri nin iş ilişkisi üzerinden kişisel verileri elde edilen gerçek kişiler. Politika kapsamında farklı bir şekilde tanımlanmamış olan, kişisel verileri Politika kapsamında işlenen gerçek kişiler Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel veri işleyen gerçek ve tüzel kişi. Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişi. KVK Kurulu gözetiminde, Kişisel Verileri Koruma Kurumu Başkanlığı gözetiminde tutulan ve kamuya açık olan Veri Sorumluları Sicili. 9

11 Ziyaretçi : Armutlu Tatil ve Turizm İşletmeleri nin sahip olduğu fiziksel yerleşkelere çeşitli amaçlarla girmiş olan veya internet sitelerimizi ziyaret eden gerçek kişiler KISALTMALAR KVK Kanunu : Anayasa : Armutlu Tatil ve Turizm İşletmeleri / Şirket : İhlas Grubu / Grup Şirketi : KVK Kurulu : KVK Kurumu : KVK Politikası / Politika : Kişisel Sağlık Verilerinin İşlenmesine İlişkin Yönetmelik : Türk Ceza Kanunu : 7 Nisan 2016 tarihli ve sayılı Resmi Gazete de yayımlanan, 24 Mart 2016 tarihli ve 6698 sayılı Kişisel Verilerin Korunması Kanunu 9 Kasım 1982 tarihli ve sayılı Resmi Gazete'de yayımlanan; 7 Kasım 1982 tarihli ve 2709 sayılı Türkiye Cumhuriyeti Anayasası. Armutlu Tatil ve Turizm İşletmeleri Anonim Şirketi İhlas Grubuna Bağlı Şirketler (tek tek veya tamamı) Kişisel Verileri Koruma Kurulu Kişisel Verileri Koruma Kurumu Armutlu Tatil ve Turizm İşletmeleri A.Ş. Kişisel Verilerin Korunması ve İşlenmesi Politikası 20 Ekim 2016 tarihli ve sayılı Resmi Gazete'de yayımlanan, Kişisel Sağlık Verilerinin İşlenmesi ve Mahremiyetinin Sağlanması Hakkında Yönetmelik. 12 Ekim 2004 tarihli ve sayılı Resmi Gazete'de yayımlanan; 26 Eylül 2004 tarihli ve 5237 sayılı Türk Ceza Kanunu. 10

12 3. BÖLÜM : KİŞİSEL VERİLERİN İŞLENMESİ Armutlu Tatil ve Turizm İşletmeleri, Anayasa nın 20. maddesine ve KVK Kanunu nun 4. maddesine uygun olarak, kişisel verilerin işlenmesi konusunda; hukuka ve dürüstlük kurallarına uygun; doğru ve gerektiğinde güncel; belirli, açık ve meşru amaçlar güderek; amaçla bağlantılı, sınırlı ve ölçülü bir biçimde kişisel veri işleme faaliyetinde bulunmaktadır. Armutlu Tatil ve Turizm İşletmeleri kanunlarda öngörülen veya kişisel veri işleme amacının gerektirdiği süre kadar kişisel verileri muhafaza etmektedir. Armutlu Tatil ve Turizm İşletmeleri, Anayasa nın 20. ve KVK Kanunu nun 5. maddeleri gereğince, kişisel verileri, kişisel verilerin işlenmesine ilişkin KVK Kanunu nun 5. maddesindeki şartlardan bir veya birkaçına dayalı olarak işlemektedir. Armutlu Tatil ve Turizm İşletmeleri, Anayasa nın 20. ve KVK Kanunu nun 10. maddelerine uygun olarak, kişisel veri sahiplerini aydınlatmakta ve kişisel veri sahiplerinin bilgi talep etmeleri durumunda gerekli bilgilendirmeyi yapmaktadır. Armutlu Tatil ve Turizm İşletmeleri, KVK Kanunu nun 6. maddesine uygun olarak özel nitelikli kişisel verilerin işlenmesi bakımından öngörülen düzenlemelere uygun hareket etmektedir. Armutlu Tatil ve Turizm İşletmeleri, KVK Kanunu nun 8. ve 9. maddelerine uygun olarak, kişisel verilerin aktarılması konusunda kanunda öngörülen ve KVK Kurulu tarafından ortaya konulan düzenlemelere uygun davranmaktadır KİŞİSEL VERİLERİN MEVZUATTA ÖNGÖRÜLEN İLKELERE UYGUN OLARAK İŞLENMESİ Hukuka ve Dürüstlük Kuralına Uygun İs leme Armutlu Tatil ve Turizm İşletmeleri; kişisel verilerin işlenmesinde hukuksal düzenlemelerle getirilen ilkeler ile genel güven ve dürüstlük kuralına uygun hareket etmektedir. Bu kapsamda Armutlu Tatil ve Turizm İşletmeleri, kişisel verilerin işlenmesinde orantılılık gerekliliklerini dikkate almakta, kişisel verileri amacın gerektirdiği dışında kullanmamaktadır Kis isel Verilerin Dog ru ve Gerektig inde Güncel Olmasını Sag lama Armutlu Tatil ve Turizm İşletmeleri; kişisel veri sahiplerinin temel haklarını ve kendi meşru menfaatlerini dikkate alarak işlediği kişisel verilerin doğru ve güncel olmasını sağlamaktadır. Bu doğrultuda gerekli tedbirleri almaktadır. Örneğin, Armutlu Tatil ve Turizm İşletmeleri tarafından; kişisel veri sahiplerinin kişisel verilerini düzeltme ve doğruluğunu teyit etmelerine yönelik sistem kurulmuştur. Bu konu ile ilgili ayrıntılı bilgiye, bu Politika nın 9. Bölümünde yer verilmiştir. 11

13 Belirli, Açık ve Mes ru Amaçlarla İs leme Armutlu Tatil ve Turizm İşletmeleri, meşru ve hukuka uygun olan kişisel veri işleme amacını açık ve kesin olarak belirlemektedir. Armutlu Tatil ve Turizm İşletmeleri, yürütmekte olduğu ticari faaliyet ile bağlantılı ve bunlar için gerekli olan kadar işlemektedir. Armutlu Tatil ve Turizm İşletmeleri tarafından kişisel verilerin hangi amaçla işleneceği henüz kişisel veri işleme faaliyeti başlamadan ortaya konulmaktadır İs lendikleri Amaçla Bag lantılı, Sınırlı ve Ölçülü Olma Armutlu Tatil ve Turizm İşletmeleri, kişisel verileri belirlenen amaçların gerçekleştirilebilmesine elverişli bir biçimde işlemekte ve amacın gerçekleştirilmesiyle ilgili olmayan veya ihtiyaç duyulmayan kişisel verilerin işlenmesinden kaçınmaktadır. Örneğin, sonradan ortaya çıkması muhtemel ihtiyaçların karşılanmasına yönelik kişisel veri işleme faaliyeti yürütülmemektedir İlgili Mevzuatta Öngörülen veya İs lendikleri Amaç için Gerekli Olan Süre Kadar Muhafaza Etme Armutlu Tatil ve Turizm İşletmeleri, kişisel verileri ancak ilgili mevzuatta belirtildiği veya işlendikleri amaç için gerekli olan süre kadar muhafaza etmektedir. Bu kapsamda, Armutlu Tatil ve Turizm İşletmeleri öncelikle ilgili mevzuatta kişisel verilerin saklanması için bir süre öngörülüp öngörülmediğini tespit etmekte, bir süre belirlenmişse bu süreye uygun davranmakta, bir süre belirlenmemişse kişisel verileri işlendikleri amaç için gerekli olan süre kadar saklamaktadır. Sürenin bitimi veya işlenmesini gerektiren sebeplerin ortadan kalkması halinde kişisel veriler Armutlu Tatil ve Turizm İşletmeleri tarafından silinmekte, yok edilmekte veya anonim hale getirilmektedir. Gelecekte kullanma ihtimali ile Armutlu Tatil ve Turizm İşletmeleri tarafından kişisel veriler saklanmamaktadır. Bu konu ile ilgili ayrıntılı bilgiye, bu Politika nın 8. Bölümünde yer verilmiştir KİŞİSEL VERİLERİ, KVK KANUNU NUN 5. MADDESİNDE BELİRTİLEN KİŞİSEL VERİ İŞLEME ŞARTLARINDAN BİR VEYA BİRKAÇINA DAYALI VE BU ŞARTLARLA SINIRLI OLARAK İŞLEME Kişisel verilerin korunması Anayasal bir haktır. Temel hak ve hürriyetler, özlerine dokunulmaksızın yalnızca Anayasa nın ilgili maddelerinde belirtilen sebeplere bağlı olarak ve ancak kanunla sınırlanabilir. Anayasa nın 20. maddesinin üçüncü fıkrası gereğince, kişisel veriler ancak kanunda öngörülen hallerde veya kişinin açık rızasıyla işlenebilecektir. Armutlu Tatil ve Turizm İşletmeleri bu doğrultuda ve Anayasa ya uygun bir biçimde; kişisel verileri, ancak kanunda öngörülen hallerde veya kişinin açık rızasıyla işlemektedir. Bu konu ile ilgili ayrıntılı bilgiye, bu Politika nın 3.6. Maddesinde yer verilmiştir. 12

14 3.3. İHLAS GRUP ŞİRKETLERİ TARAFINDAN İŞLENMEKTE OLAN VERİLERİN ARMUTLU TATİL VE TURİZM İŞLETMLERİ A.Ş. TARAFINDAN İŞLENMESİ İhlas Grup Şirketleri nin faaliyetlerinin Armutlu Tatil ve Turizm İşletmeleri nin ilke, hedef ve stratejilerine uygun olarak yürütülmesi, Armutlu Tatil ve Turizm İşletmeleri nin hak ve menfaatleri ile itibarının korunması amacıyla İhlas Grup Şirketleri tarafından işlenmekte olan kişisel verileri Armutlu Tatil ve Turizm İşletmeleri de işleyebilmektedir. İhlas Grup Şirketleri ile Armutlu Tatil ve Turizm İşletmeleri arasındaki kişisel veri paylaşımının KVK Kanunu kapsamında veri sorumlusundan veri sorumlusuna kişisel veri aktarımı kapsamında gerçekleşmesi durumunda, ilgili Grup Şirketi, ilgili kişinin kişisel verisini toplama aşamasında, kişiyi, kişisel verilerinin Armutlu Tatil ve Turizm İşletmeleri ne gönderilebileceği konusunda aydınlatır KİŞİSEL VERİ SAHİBİNİN AYDINLATILMASI VE BİLGİLENDİRİLMESİ Armutlu Tatil ve Turizm İşletmeleri, KVK Kanunu nun 10. maddesine uygun olarak, kişisel verilerin elde edilmesi sırasında Kişisel Veri Sahiplerini aydınlatmaktadır. Bu kapsamda Armutlu Tatil ve Turizm İşletmeleri, varsa temsilcisinin kimliği, kişisel verilerin hangi amaçla işleneceği, işlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği, kişisel veri toplamanın yöntemi ve hukuki sebebi ile kişisel veri sahibinin sahip olduğu hakları konusunda aydınlatma yapmaktadır. Bu konu ile ilgili ayrıntılı bilgiye bu Politika nın 9. Bölümünde yer verilmiştir. Anayasa nın 20. maddesinde herkesin, kendisiyle ilgili kişisel veriler hakkında bilgilendirilme hakkına sahip olduğu ortaya konulmuştur. Bu doğrultuda KVK Kanunu nun 11. maddesinde kişisel veri sahibinin hakları arasında bilgi talep etme de sayılmıştır. Armutlu Tatil ve Turizm İşletmeleri bu kapsamda, Anayasa nın 20. ve KVK Kanunu nun 11. maddelerine uygun olarak Kişisel Veri Sahibi nin bilgi talep etmesi durumunda gerekli bilgilendirmeyi yapmaktadır. Bu konu ile ilgili ayrıntılı bilgiye bu Politika nın 9. Bölümünde yer verilmiştir ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN İŞLENMESİ Armutlu Tatil ve Turizm İşletmeleri tarafından, KVK Kanunu ile özel nitelikli olarak belirlenen kişisel verilerin işlenmesinde, KVK Kanunu nda öngörülen düzenlemelere hassasiyetle uygun davranılmaktadır. KVK Kanunu nun 6. maddesinde, hukuka aykırı olarak işlendiğinde kişilerin mağduriyetine veya ayrımcılığa sebep olma riski taşıyan bir takım kişisel veri özel nitelikli olarak belirlenmiştir. Bu veriler; ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık ve kıyafet, dernek, vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik 13

15 tedbirleriyle ilgili veriler ile biyometrik ve genetik verilerdir. KVK Kanunu na uygun bir biçimde Armutlu Tatil ve Turizm İşletmeleri tarafından; özel nitelikli kişisel veriler, KVK Kurulu tarafından belirlenecek olan yeterli önlemlerin alınması kaydıyla aşağıdaki durumlarda işlenmektedir: Kişisel veri sahibinin açık rızası var ise veya Kişisel veri sahibinin açık rızası yok ise; o Kişisel veri sahibinin sağlığı ve cinsel hayatı dışındaki özel nitelikli kişisel veriler, kanunlarda öngörülen hallerde, o Kişisel veri sahibinin sağlığına ve cinsel hayatına ilişkin özel nitelikli kişisel verileri ise ancak kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından işlenmektedir KİŞİSEL VERİLERİN KANUNDAKİ İŞLEME ŞARTLARINA DAYALI VE BU ŞARTLARLA SINIRLI OLARAK İŞLENMESİ Armutlu Tatil ve Turizm İşletmeleri, KVK Kanunu nun 10. maddesine uygun olarak işlediği kişisel veriler hakkında kişisel veri sahibini aydınlatmaktadır Kis isel Verilerin İs lenmesi Kişisel veri sahibinin açık rıza vermesi, kişisel verilerin hukuka uygun olarak işlenmesini mümkün kılan hukuki dayanaklardan yalnızca bir tanesidir. Açık rıza dışında, aşağıda yazan diğer şartlardan birinin varlığı durumunda da kişisel veriler işlenebilir. Kişisel veri işleme faaliyetinin dayanağı aşağıda belirtilen şartlardan yalnızca biri olabildiği gibi bu şartlardan birden fazlası da aynı kişisel veri işleme faaliyetinin dayanağı olabilir. İşlenen verilerin özel nitelikli kişisel veri olması halinde; aşağıda bu bölüm altında başlığı içerisinde yer alan şartlar uygulanır. Armutlu Tatil ve Turizm İşletmeleri tarafından kişisel verilerin işlenmesine yönelik hukuki dayanaklar farklılık gösterse de, her türlü kişisel veri işleme faaliyetinde KVK Kanunu nun 4. maddesinde belirtilen genel ilkelere uygun olarak hareket edilmektedir. (a) Kis isel Veri Sahibinin Açık Rızasının Bulunması Kişisel verilerin işlenme şartlarından biri sahibinin açık rızasıdır. Kişisel veri sahibinin açık rızası belirli bir konuya ilişkin, bilgilendirilmeye dayalı olarak ve özgür iradeyle açıklanmalıdır. Kişisel verilerin elde edilme sebeplerine yönelik işleme amacının (birincil işleme) dışındaki kişisel veri işleme faaliyetleri için (ikincil işleme) işbu başlığın (b), (c), (d) (e), (f), (g) ve (h) de yer alan şartlardan en az biri aranmakta; bu şartlardan biri yok ise, Armutlu Tatil ve Turizm İşletmeleri 14

16 tarafından bu kişisel veri işleme faaliyetleri kişisel veri sahibinin bu işleme faaliyetlerine yönelik açık rızasına dayalı olarak gerçekleştirilmektedir. Kişisel verilerin, kişisel veri sahibinin açık rıza vermesine bağlı olarak işlenmesi için, kişisel veri sahiplerinin ilgili yöntemler ile açık rızaları alınmaktadır. (b) Kanunlarda Açıkça Öngörülmesi Veri sahibinin kişisel verileri, kanunda açıkça öngörülmesi halinde hukuka uygun olarak işlenebilecektir. Örnek: Vergi Usul Kanunu nun 230. maddesi uyarınca fatura üzerinde ilgili kişinin adına yer verilmesi. (c) Fiili İmkânsızlık Sebebiyle İlgilinin Açık Rızasının Alınamaması Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda olan veya rızasına geçerlilik tanınamayacak olan kişinin kendisinin ya da başka bir kişinin hayatı veya beden bütünlüğünü korumak için kişisel verisinin işlenmesinin zorunlu olması halinde veri sahibinin kişisel verileri işlenebilecektir. Örnek: Genel Kurul da baygınlık geçiren hissedarın kimlik bilgilerinin şirket çalışanı tarafından doktorlara verilmesi. (d) Sözles menin Kurulması veya İfasıyla Dog rudan İlgi Olması Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması halinde kişisel verilerin işlenmesi mümkündür. Örnek: İş ortağı danışman ile akdedilen danışmanlık sözleşmesinin ifası için, danışmana ödeme yapılabilmesi amacıyla, danışmanın banka hesap bilgisinin elde edilmesi. (e) Armutlu Tatil ve Turizm İs letmeleri nin Hukuki Yükümlülüg ünü Yerine Getirmesi Armutlu Tatil ve Turizm İşletmeleri veri sorumlusu olarak hukuki yükümlülüklerini yerine getirmesi için işlemenin zorunlu olması halinde veri sahibinin kişisel verileri işlenebilecektir. Örnek: Mahkeme kararıyla talep edilen bilgilerin mahkemeye sunulması. (f) Kis isel Veri Sahibinin Kis isel Verisini Aleniles tirmesi Veri sahibinin, kişisel verisini kendisi tarafından alenileştirilmiş olması halinde ilgili kişisel veriler işlenebilecektir. 15

17 Örnek: Çalışan adayının iletişim bilgilerini, iş başvurusu yapılmasına imkan veren internet sitelerinde yayımlanması. (g) Bir Hakkın Tesisi veya Korunması için Veri İs lemenin Zorunlu Olması Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması halinde kişisel veri sahibinin kişisel verileri işlenebilecektir. Örnek: İspat niteliği olan verilerin (örneğin bir faturanın) saklanması ve gerekli olduğu anda kullanılması. (h) Armutlu Tatil ve Turizm İs letmeleri nin Mes ru Menfaati için Veri İs lemenin Zorunlu Olması Kişisel veri sahibinin temel hak ve özgürlüklerine zarar vermemek kaydıyla Armutlu Tatil ve Turizm İşletmeleri nin meşru menfaatleri için veri işlemesinin zorunlu olması halinde veri verileri işlenebilecektir. Örnek: Şirket e ait bina ve tesislerde güvenlik amaçlı olarak kamera kaydı yapılması Özel Nitelikli Kis isel Verilerin İs lenmesi Armutlu Tatil ve Turizm İşletmeleri tarafından; özel nitelikli kişisel veriler kişisel veri sahibinin açık rızası yok ise ancak, KVK Kurulu tarafından belirlenecek olan yeterli önlemlerin alınması kaydıyla aşağıdaki durumlarda işlenmektedir: a) Kişisel veri sahibinin sağlığı ve cinsel hayatı dışındaki özel nitelikli kişisel veriler, kanunlarda öngörülen hallerde, b) Kişisel veri sahibinin sağlığına ve cinsel hayatına ilişkin özel nitelikli kişisel verileri ise ancak kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından. 16

18 4. BÖLÜM : BİNA, TESİS GİRİŞLERİ İLE BİNA TESİS İÇERİSİNDE YAPILAN KİŞİSEL VERİ İŞLEME FAALİYETLERİ İLE İNTERNET SİTESİ ZİYARETÇİLERİ Armutlu Tatil ve Turizm İşletmeleri tarafından bina tesis girişlerinde ve tesis içerisinde yapılan kişisel veri işleme faaliyetleri, Anayasa ya, KVK Kanunu na ve ilgili diğer mevzuata uygun bir biçimde yürütülmektedir. Armutlu Tatil ve Turizm İşletmeleri tarafından güvenliğin sağlanması amacıyla, Armutlu Tatil ve Turizm İşletmeleri binalarında ve tesislerinde güvenlik kamerasıyla izleme faaliyeti ile misafir giriş çıkışlarının takibine yönelik kişisel veri işleme faaliyetinde bulunulmaktadır. Güvenlik kameraları kullanılması ve misafir giriş çıkışlarının kayıt altına alınması yoluyla Armutlu Tatil ve Turizm İşletmeleri tarafından kişisel veri işleme faaliyeti yürütülmüş olmaktadır ARMUTLU TATİL VE TURİZM İŞLETMELERİ BİNA, TESİS GİRİŞLERİNDE VE İÇERİSİNDE YÜRÜTÜLEN KAMERA İLE İZLEME FAALİYETİ Bu bölümde Armutlu Tatil ve Turizm İşletmeleri nin kamera ile izleme sistemine ilişkin açıklamalar yapılacak ve kişisel verilerin, gizliliğinin ve kişinin temel haklarının nasıl korumaya alındığına ilişkin bilgilendirme yapılacaktır. Armutlu Tatil ve Turizm İşletmeleri, hukuki, teknik ve ticari iş güvenliğinin temini amacıyla; Şirket yerleşkeleri ve tesislerinde kapalı devre kamera sistemi (CCTV) ile görüntü alınması, Şirket yerleşkeleri ve tesislerine girişlerde kayıt oluşturulması ve ziyaretçilerin internet erişim kayıtlarının tutulması yollarıyla kişisel veri işlemektedir Kamera ile İzleme Faaliyetinin Yasal Dayanag ı Armutlu Tatil ve Turizm İşletmeleri tarafından yürütülen kamera ile izleme faaliyeti, Özel Güvenlik Hizmetlerine Dair Kanun ve ilgili mevzuata uygun olarak sürdürülmektedir KVK Hukukuna Göre Güvenlik Kamerası ile İzleme Faaliyeti Yürütülmesi Armutlu Tatil ve Turizm İşletmeleri tarafından güvenlik amacıyla kamera ile izleme faaliyeti yürütülmesinde KVK Kanunu nda yer alan düzenlemelere uygun hareket edilmektedir. Armutlu Tatil ve Turizm İşletmeleri, bina ve tesislerinde güvenliğin sağlanması amacıyla, yürürlükte bulunan ilgili mevzuatta öngörülen amaçlarla ve KVK Kanunu nda sayılan kişisel veri işleme şartlarına uygun olarak güvenlik kamerası izleme faaliyetinde bulunmaktadır. 17

19 Kamera ile İzleme Faaliyetinin Duyurulması Armutlu Tatil ve Turizm İşletmeleri tarafından KVK Kanunu nun 10. Maddesine uygun olarak, kişisel veri sahibi aydınlatılmaktadır. Armutlu Tatil ve Turizm İşletmeleri, genel hususlara ilişkin olarak yaptığı aydınlatmanın kamera ile izleme faaliyetine ilişkin birden fazla yöntem ile bildirimde bulunmaktadır. Böylelikle, kişisel veri sahibinin temel hak ve özgürlüklerine zarar verilmesinin engellenmesi, şeffaflığın ve kişisel veri sahibinin aydınlatılmasının sağlanması amaçlanmaktadır. Armutlu Tatil ve Turizm İşletmeleri tarafından kamera ile izleme faaliyetine yönelik olarak; Armutlu Tatil ve Turizm İşletmeleri internet sitesinde işbu Politika yayımlanmakta ve izlemenin yapıldığı alanların girişlerine izleme yapılacağına ilişkin bildirim yazısı asılmaktadır Kamera ile İzleme Faaliyetinin Yürütülme Amacı ve Amaçla Sınırlılık Armutlu Tatil ve Turizm İşletmeleri, KVK Kanunu nun 4. maddesine uygun olarak, kişisel verileri işlendikleri amaçla bağlantılı, sınırlı ve ölçülü bir biçimde işlemektedir. Armutlu Tatil ve Turizm İşletmeleri tarafından video kamera ile izleme faaliyetinin sürdürülmesindeki amaç bu Politika da sayılan amaçlarla sınırlıdır. Bu doğrultuda, güvenlik kameralarının izleme alanları, sayısı ve ne zaman izleme yapılacağı, güvenlik amacına ulaşmak için yeterli ve bu amaçla sınırlı olarak uygulamaya alınmaktadır. Kişinin mahremiyetini güvenlik amaçlarını aşan şekilde müdahale sonucu doğurabilecek alanlarda (örneğin, kişisel ihtiyaçlar için ayrılan alanlar, tuvaletler vb.) izlemeye tabi tutulmamaktadır Elde Edilen Verilerin Güvenlig inin Sag lanması Armutlu Tatil ve Turizm İşletmeleri tarafından KVK Kanunu nun 12. maddesine uygun olarak, kamera ile izleme faaliyeti sonucunda elde edilen kişisel verilerin güvenliğinin sağlanması için gerekli teknik ve idari tedbirler alınmaktadır Kamera ile İzleme Faaliyeti ile Elde Edilen Kis isel Verilerin Muhafaza Süresi Armutlu Tatil ve Turizm İşletmeleri nin, kamera ile izleme faaliyeti ile elde edilen kişisel verileri muhafaza süresi ile ilgili ayrıntılı bilgiye bu Politika nın Kişisel Verilerin Saklanma Süreleri isimli 5.3. maddesinde yer verilmiştir İzleme Sonucunda Elde Edilen Bilgilere Kimlerin Eris ebildig i ve Bu Bilgilerin Kimlere Aktarıldıg ı Canlı kamera görüntüleri ile dijital ortamda kaydedilen ve muhafaza edilen kayıtlara yalnızca sınırlı sayıda çalışanın erişimi bulunmaktadır. Kamera görüntüleri, İhlas Grup Şirketleri, taşeron 18

20 güvenlik firmasına ve mevzuata uygun olarak yetkili kamu kurumlarına aktarılabilmektedir. Kayıtlara erişimi olan sınırlı sayıda kişi gizlilik taahhütnamesi ile eriştiği verilerin gizliliğini koruyacağını beyan etmektedir ARMUTLU TATİL VE TURİZM İŞLETMELERİ BİNA, TESİS GİRİŞLERİNDE VE İÇERİSİNDE YÜRÜTÜLEN MİSAFİR GİRİŞ ÇIKIŞLARININ TAKİBİ Armutlu Tatil ve Turizm İşletmeleri tarafından; güvenliğin sağlanması ve bu Politika da belirtilen amaçlarla, Armutlu Tatil ve Turizm İşletmeleri binalarında ve tesislerinde misafir giriş çıkışlarının takibine yönelik kişisel veri işleme faaliyetinde bulunulmaktadır. Misafir olarak Armutlu Tatil ve Turizm İşletmeleri binalarına gelen kişilerin isim ve soyadları elde edilirken ya da Armutlu Tatil ve Turizm İşletmeleri nezdinde asılan ya da diğer şekillerde misafirlerin erişimine sunulan metinler aracılığıyla söz konusu kişisel veri sahipleri bu kapsamda aydınlatılmaktadırlar. Misafir giriş-çıkış takibi yapılması amacıyla elde edilen veriler yalnızca bu amaçla işlenmekte ve ilgili kişisel veriler fiziki ortamda veri kayıt sistemine kaydedilmektedir ARMUTLU TATİL VE TURİZM İŞLETMELERİ BİNA VE TESİSLERİNDE ZİYARETÇİ LERİMİZE SAG LANAN İNTERNET ERİŞİMLERİNE İLİŞKİN KAYITLARIN SAKLANMASI Armutlu Tatil ve Turizm İşletmeleri tarafından güvenliğin sağlanması ve bu Politika da belirtilen amaçlarla; Armutlu Tatil ve Turizm İşletmeleri tarafından bina ve tesislerimiz içerisinde kaldığınız süre boyunca talep eden Ziyaretçi lerimize internet erişimi sağlanabilmektedir. Bu durumda internet erişimlerinize ilişkin log kayıtları 5651 Sayılı Kanun ve bu Kanuna göre düzenlenmiş olan mevzuatın amir hükümlerine göre kayıt altına alınmakta; bu kayıtlar ancak yetkili kamu kurum ve kuruluşları tarafından talep edilmesi veya Armutlu Tatil ve Turizm İşletmeleri içinde gerçekleştirilecek denetim süreçlerinde ilgili hukuki yükümlülüğümüzü yerine getirmek amacıyla işlenmektedir. Bu çerçevede elde edilen log kayıtlarına yalnızca sınırlı sayıda Armutlu Tatil ve Turizm İşletmeleri çalışanının erişimi bulunmaktadır. Bahsi geçen kayıtlara erişimi olan Armutlu Tatil ve Turizm İşletmeleri çalışanları bu kayıtları yalnızca yetkili kamu kurum ve kuruluşundan gelen talep veya denetim süreçlerinde kullanmak üzere erişmekte ve hukuken yetkili olan kişilerle paylaşmaktadır. Kayıtlara erişimi olan sınırlı sayıda kişi gizlilik taahhütnamesi ile eriştiği verilerin gizliliğini koruyacağını beyan etmektedir İNTERNET SİTESİ ZİYARETÇİLERİ Armutlu Tatil ve Turizm İşletmeleri sahibi olduğu internet sitelerinde; bu siteleri ziyaret eden kişilerin sitelerdeki ziyaretlerini ziyaret amaçlarıyla uygun bir şekilde gerçekleştirmelerini temin etmek; kendilerine özelleştirilmiş içerikler gösterebilmek ve çevrimiçi reklamcılık faaliyetlerinde 19

21 bulunabilmek maksadıyla teknik vasıtalarla (Örn. Kurabiyeler-cookie gibi) site içerisindeki internet hareketlerini kaydedilmektedir. 5. BÖLÜM : İŞLENEN KİŞİSEL VERİLERİN İŞLENME AMAÇLARI, KATEGORİZASYONU VE SAKLANMA SÜRELERİ Armutlu Tatil ve Turizm İşletmeleri, KVK Kanunu nun 10. maddesine uygun olarak aydınlatma yükümlülüğü kapsamında hangi kişisel veri sahibi gruplarının hangi kişisel verilerini işlediğini, kişisel veri sahibinin kişisel verilerinin işlenme amaçlarını ve saklama sürelerini kişisel veri sahibine bildirmektedir KİŞİSEL VERİLERİN İŞLENME AMAÇLARI Armutlu Tatil ve Turizm İşletmeleri KVK Kanunu nun 5. maddesinin 2. fıkrasında ve 6. maddenin 3. fıkrasında belirtilen kişisel veri işleme şartları içerisindeki amaçlarla ve koşullarla sınırlı olarak kişisel verileri işlemektedir. Bu amaçlar ve koşullar ; Kişisel verilerinizin işlenmesine ilişkin Armutlu Tatil ve Turizm İşletmeleri in ilgili faaliyette bulunmasının Kanunlarda açıkça öngörülmesi Kişisel verilerinizin Armutlu Tatil ve Turizm İşletmeleri tarafından işlenmesinin bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili ve gerekli olması Kişisel verilerinizin işlenmesinin Armutlu Tatil ve Turizm İşletmeleri nin hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması Kişisel verilerinizin sizler tarafından alenileştirilmiş olması şartıyla; sizlerin alenileştirme amacıyla sınırlı bir şekilde Armutlu Tatil ve Turizm İşletmeleri tarafından işlenmesi Kişisel verilerinizin Armutlu Tatil ve Turizm İşletmeleri tarafından işlenmesinin Armutlu Tatil ve Turizm İşletmeleri nin veya sizlerin veya üçüncü kişilerin haklarının tesisi, kullanılması veya korunması için zorunlu olması Sizlerin temel hak ve özgürlüklerine zarar vermemek kaydıyla Armutlu Tatil ve Turizm İşletmeleri meşru menfaatleri için kişisel veri işleme faaliyetinde bulunulmasının zorunlu olması Armutlu Tatil ve Turizm İşletmeleri tarafından kişisel veri işleme faaliyetinde bulunulmasının kişisel veri sahibinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması ve bu durumda da kişisel veri sahibinin fiili veya hukuki geçersizlik nedeniyle rızasını açıklayamayacak durumda bulunması Kişisel veri sahibinin sağlığı ve cinsel hayatı dışındaki özel nitelikli kişisel veriler açısından kanunlarda öngörülmüş olması Kişisel veri sahibinin sağlığına ve cinsel hayatına ilişkin özel nitelikli kişisel verileri açısından ise kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından işlenmesidir. Bu kapsamda Armutlu Tatil ve Turizm İşletmeleri, kişisel verilerinizi aşağıdaki amaçlarla 20

22 işlemektedir : Kurumsal sürdürülebilirlik faaliyetlerinin planlanması ve icrası Etkinlik yönetimi İş ortakları veya tedarikçilerle olan ilişkilerin yönetimi Armutlu Tatil ve Turizm İşletmeleri personel temin süreçlerinin yürütülmesi Grup şirketlerinin personel temin süreçlerine destek olunması Armutlu Tatil ve Turizm İşletmeleri finansal raporlama ve risk yönetimi işlemlerinin icrası/takibi Armutlu Tatil ve Turizm İşletmeleri hukuk işlerinin icrası/takibi Kurumsal iletişim faaliyetlerinin planlanması ve icrası Kurumsal yönetim faaliyetlerinin icrası Şirketler ve ortaklık hukuku işlemlerinin gerçekleştirilmesi Talep ve şikayet yönetimi Grup değerlerinin güvenliğinin sağlanması Grup şirketlerine ilgili mevzuta uyum konusunda destek olunması Armutlu Tatil ve Turizm İşletmeleri ve Grup şirketleri üst düzey yöneticilerine sağlanacak yan haklar ve menfaatlerin planlanması ve icrası süreçlerine destek olunması Grup şirketlerinin faaliyetlerinin İhlas Grubu prosedürleri ve ilgili mevzuata uygun olarak yürütülmesinin temini için denetim faaliyetlerinin planlanması ve icrası Grup şirketlerinin şirketler ve ortaklık hukuku işlemlerinin gerçekleştirilmesi konusunda destek olunması İhlas Grubu itibarının korunmasına yönelik çalışmaların gerçekleştirilmesi Yetkili kuruluşlara mevzuattan kaynaklı bilgi verilmesi Ziyaretçi kayıtlarının oluşturulması ve takibi Bahsi geçen amaçlarla gerçekleştirilen işleme faaliyetinin, KVK Kanunu kapsamında öngörülen şartlardan herhangi birini karşılamıyor olması halinde, ilgili işleme sürecine ilişkin olarak Armutlu Tatil ve Turizm İşletmeleri tarafından açık rızanız temin edilmektedir KİŞİSEL VERİLERİN KATEGORİZASYONU Armutlu Tatil ve Turizm İşletmeleri nezdinde; Armutlu Tatil ve Turizm İşletmeleri nin meşru ve hukuka uygun kişisel veri işleme amaçları doğrultusunda, KVK Kanunu nun 5. maddesinde belirtilen kişisel veri işleme şartlarından bir veya birkaçına dayalı ve sınırlı olarak, başta kişisel verilerin işlenmesine ilişkin 4. maddede belirtilen ilkeler olmak üzere KVK Kanunu nda belirtilen genel ilkelere ve KVK Kanunu nda düzenlenen bütün yükümlülüklere uyularak ve işbu Politika kapsamındaki sürelerle (Grup Şirketleri Müşterisi, Ziyaretçi, Üçüncü Kişi, Çalışan Adayı, Şirket Hissedarı, Şirket Yetkilisi, İşbirliği İçinde Olduğumuz Kurumların Çalışanları, Hissedarları ve Yetkilileri) sınırlı olarak aşağıda belirtilen kategorilerdeki kişisel veriler, KVK Kanunu nun 10. maddesi uyarınca ilgili kişiler bilgilendirilmek suretiyle işlenmektedir. Bu kategorilerde işlenen kişisel verilerin işbu Politika kapsamında düzenlenen hangi veri sahipleriyle ilişkili olduğu da işbu Politika nın Maddesinde belirtilmektedir. 21

23 KİŞİSEL VERİ KATEGORİZASYONU KİŞİSEL VERİ KATEGORİZASYONU AÇIKLAMA Kimlik Bilgisi Kimliği belirli veya belirlenebilir bir gerçek kişiye ait olduğu açık olan; kısmen veya tamamen otomatik şekilde veya veri kayıt sisteminin bir parçası olarak otomatik olmayan şekilde işlenen; kişinin kimliğine dair bilgilerin bulunduğu verilerdir; ad-soyad, T.C. kimlik numarası, uyruk bilgisi, anne adı-baba adı, doğum yeri, doğum tarihi, cinsiyet gibi bilgileri içeren ehliyet, nüfus cüzdanı ve pasaport gibi belgeler ile vergi numarası, SGK numarası, imza bilgisi, taşıt plakası v.b. bilgiler İletişim Bilgisi Kimliği belirli veya belirlenebilir bir gerçek kişiye ait olduğu açık olan; kısmen veya tamamen otomatik şekilde veya veri kayıt sisteminin bir parçası olarak otomatik olmayan şekilde işlenen; telefon numarası, adres, adresi, faks numarası, IP adresi gibi bilgiler Lokasyon Verisi Aile Bireyleri ve Yakın Bilgisi Kimliği belirli veya belirlenebilir bir gerçek kişiye ait olduğu açık olan; kısmen veya tamamen otomatik şekilde veya veri kayıt sisteminin bir parçası olarak otomatik olmayan şekilde işlenen; kişisel veri sahibinin Armutlu Tatil ve Turizm İşletmeleri iş birimleri tarafından yürütülen operasyonlar çerçevesinde, İhlas Grup şirketlerinin ürün ve hizmetlerinin kullanımı sırasında veya işbirliği içerisinde olduğumuz kurumların çalışanlarının Armutlu Tatil ve Turizm İşletmeleri araçlarını kullanırken bulunduğu yerin konumunu tespit eden bilgiler; GPS lokasyonu, seyahat verileri v.b. Kimliği belirli veya belirlenebilir bir gerçek kişiye ait olduğu açık olan; kısmen veya tamamen otomatik şekilde veya veri kayıt sisteminin bir parçası olarak otomatik olmayan şekilde işlenen; Armutlu Tatil ve Turizm İşletmeleri iş birimleri tarafından yürütülen operasyonlar çerçevesinde, İhlas Grup 22

24 Şirketlerinin sunduğu ürün ve hizmetlerle ilgili veya Armutlu Tatil ve Turizm İşletmeleri nin ve kişisel veri sahibinin hukuki ve diğer menfaatlerini korumak amacıyla kişisel veri sahibinin aile bireyleri (örn. eş, anne, baba, çocuk), yakınları ve acil durumlarda ulaşılabilecek diğer kişiler hakkındaki bilgiler Fiziksel Mekan Güvenlik Bilgisi Finansal Bilgi Görsel/İşitsel Bilgi Özlük Bilgisi Kimliği belirli veya belirlenebilir bir gerçek kişiye ait olduğu açık olan; kısmen veya tamamen otomatik şekilde veya veri kayıt sisteminin bir parçası olarak otomatik olmayan şekilde işlenen; fiziksel mekana girişte, fiziksel mekanın içerisinde kalış sırasında alınan kayıtlar ve belgelere ilişkin kişisel veriler; kamera kayıtları, parmak izi kayıtları ve güvenlik noktasında alınan kayıtlar v.b. Kimliği belirli veya belirlenebilir bir gerçek kişiye ait olduğu açık olan; kısmen veya tamamen otomatik şekilde veya veri kayıt sisteminin bir parçası olarak otomatik olmayan şekilde işlenen; Armutlu Tatil ve Turizm İşletmeleri nin kişisel veri sahibi ile kurmuş olduğu hukuki ilişkinin tipine göre oluşturulan her türlü finansal sonucu gösteren bilgi, belge ve kayıtlara ilişkin işlenen kişisel veriler ile banka hesap numarası, IBAN numarası, kredi kartı bilgisi, finansal profil, malvarlığı verisi, gelir bilgisi gibi veriler Kimliği belirli veya belirlenebilir bir gerçek kişiye ait olduğu açık olan; fotoğraf ve kamera kayıtları (Fiziksel Mekan Güvenlik Bilgisi kapsamında giren kayıtlar hariç), ses kayıtları ile kişisel veri içeren belgelerin kopyası niteliğindeki belgelerde yer alan veriler Kimliği belirli veya belirlenebilir bir gerçek kişiye ait olduğu açık olan; kısmen veya tamamen otomatik şekilde veya veri kayıt sisteminin bir parçası olarak otomatik olmayan şekilde işlenen; Armutlu Tatil ve Turizm İşletmeleri ile çalışma ilişkisi içerisinde olan gerçek kişilerin özlük haklarının oluşmasına temel olacak bilgilerin elde edilmesine yönelik işlenen her türlü kişisel veri 23

25 Özel Nitelikli Kişisel Veri Talep/Şikayet Yönetimi Bilgisi Kimliği belirli veya belirlenebilir bir gerçek kişiye ait olduğu açık olan; kısmen veya tamamen otomatik şekilde veya veri kayıt sisteminin bir parçası olarak otomatik olmayan şekilde işlenen; KVK Kanunu nun 6. maddesinde belirtilen veriler (örn. kan grubu da dahil sağlık verileri, biyometrik veriler, din ve üye olunan dernek bilgisi gibi) Kimliği belirli veya belirlenebilir bir gerçek kişiye ait olduğu açık olan; kısmen veya tamamen otomatik şekilde veya veri kayıt sisteminin bir parçası olarak otomatik olmayan şekilde işlenen; Armutlu Tatil ve Turizm İşletmeleri ne yöneltilmiş olan her türlü talep veya şikayetin alınması ve değerlendirilmesine ilişkin kişisel veriler İŞLENEN KİŞİSEL VERİLERİN SAHİPLERİNE İLİŞKİN KATEGORİZASYON Armutlu Tatil ve Turizm İşletmeleri tarafından, aşağıda sıralanan kişisel veri sahibi kategorilerinin kişisel verileri işlenmekle birlikte, işbu Politika nın uygulama kapsamı Grup Şirketleri Müşterileri, Ziyaretçiler, Üçüncü Kişiler, Çalışan Adayları, Şirket Hissedarları, Şirket Yetkilileri, İşbirliği İçinde Olduğumuz Kurumların Çalışanları, Hissedarları ve Yetkilileri ile sınırlıdır. Çalışanlarımızın kişisel verilerinin korunması ve işlenmesi faaliyetleri, Armutlu Tatil ve Turizm İşletmeleri Çalışanları Kişisel Verilerin Korunması ve İşlenmesi Politikası altında değerlendirilecektir. Armutlu Tatil ve Turizm İşletmeleri tarafından kişisel verileri işlenen kişilerin kategorileri yukarıda belirtilen kapsamda olmakla birlikte, bu kategorilerin dışında yer alan kişiler de KVK Kanunu kapsamında Armutlu Tatil ve Turizm İşletmeleri ne taleplerini yöneltebilecek olup; bu kişilerin talepleri de bu Politika kapsamında değerlendirmeye alınacaktır. Aşağıda işbu Politika kapsamında yer alan Grup Şirketleri Müşterisi, Ziyaretçi, Üçüncü Kişi, Çalışan Adayı, Şirket Hissedarı, Şirket Yetkilisi, İşbirliği İçinde Olduğumuz Kurumların Çalışanları, Hissedarları ve Yetkilileri kavramlarına açıklık getirilmektedir. KİŞİSEL VERİ SAHİBİ KATEGORİSİ Grup Şirketleri Müşterisi AÇIKLAMASI Armutlu Tatil ve Turizm İşletmeleri ile herhangi bir sözleşmesel ilişkisi olup olmadığına bakılmaksızın Armutlu Tatil ve Turizm İşletmeleri iş birimlerinin yürüttüğü operasyonlar kapsamında İhlas Grup Şirketleri nin iş ilişkileri 24